{"id":15985,"date":"2026-10-26T18:58:14","date_gmt":"2026-10-26T17:58:14","guid":{"rendered":"https:\/\/www.tech-arrow.com\/?p=15985"},"modified":"2026-10-26T18:58:14","modified_gmt":"2026-10-26T17:58:14","slug":"cyberangriff-auf-connectwise-cloud-backup","status":"publish","type":"post","link":"https:\/\/www.tech-arrow.com\/de\/2026\/10\/26\/cyberangriff-auf-connectwise-cloud-backup\/","title":{"rendered":"Cyberangriff auf ConnectWise Cloud Backup"},"content":{"rendered":"

ConnectWise hat vor Kurzem den Zugriff auf seinen Dienst Cloud Backup<\/strong><\/a><\/span> sowie auf einige weitere Dienste gesperrt. Als Grund nannte das Unternehmen den Verdacht auf einen Lieferkettenangriff, der auf Microsoft 365 Kunden abzielt. Der Cyberangriff auf die Backup L\u00f6sungen von ConnectWise verdeutlicht, dass bestimmte Aspekte der Datensicherheit f\u00fcr Endnutzer im Verborgenen bleiben k\u00f6nnen: Sie sind Teil einer Liefer und Dienstleistungskette, mit deren einzelnen Akteuren die Nutzer selbst nie unmittelbar in Kontakt treten.<\/p>\n

\"\"<\/p>\n

Welche Dienste sind betroffen?<\/strong><\/h2>\n

Die Betriebsunterbrechung betrifft die ConnectWise Dienste SaaS Security und Cloud Management, insbesondere jedoch Cloud Backup, das zuvor unter dem Namen SkyKick bekannt war. Nach Angaben des Unternehmens wurden seit dem 17. Oktober keine erfolgreichen Angriffsaktivit\u00e4ten mehr beobachtet. Dies deutet darauf hin, dass der Vorfall inzwischen unter Kontrolle ist.<\/p>\n

Wie kam es zu dem Vorfall?<\/strong><\/h2>\n

Microsoft Threat Intelligence best\u00e4tigte am Samstag, einen aktiven Lieferkettenangriff zu untersuchen, bei dem eine als vertrauensw\u00fcrdig eingestufte OAuth Anwendung f\u00fcr ConnectWise Cloud Backup kompromittiert wurde. Dies geht aus einem Beitrag auf X<\/strong><\/a><\/span> hervor.<\/p>\n

Laut Microsoft handelt es sich bei ConnectWise Cloud Backup um eine mandantenf\u00e4hige Anbieteranwendung, der Kunden Berechtigungen f\u00fcr den Betrieb innerhalb ihrer jeweiligen Microsoft 365 Mandanten erteilen. Die Sicherheitsforscher von Microsoft gehen davon aus, dass der Angreifer wahrscheinlich Berechtigungen missbraucht hat, die Kunden der Anwendung zuvor einger\u00e4umt hatten.<\/p>\n

Microsoft teilte mit, am Donnerstag zahlreiche erfolgreiche Authentifizierungen eines Sicherheitsprinzipals von der IP Adresse 142.172.64[.]128 aus festgestellt zu haben. Dar\u00fcber hinaus wurden Auskundschaftungsaktivit\u00e4ten \u00fcber die Microsoft Graph API sowie Versuche des Angreifers beobachtet, zus\u00e4tzliche Anmeldeinformationen zu hinterlegen, um sich einen dauerhaften Zugang in Form einer Hintert\u00fcr zu sichern.<\/p>\n

Wer ist betroffen?<\/strong><\/h2>\n

Belastbare Gesamtzahlen liegen bislang nicht vor. Einzelne unabh\u00e4ngige Berichte erm\u00f6glichen jedoch eine grobe Einsch\u00e4tzung des Ausma\u00dfes. Huntress, ein in Maryland ans\u00e4ssiger Anbieter einer Managed Security Plattform, berichtet in seinem Blog<\/strong><\/a><\/span> von 162 unautorisierten Anmeldungen bei Mandanten. Bei mehr als 1.000 Microsoft 365 Konten wurden Zugriffsversuche festgestellt; bei rund 300 davon waren diese erfolgreich. Auch der Plattformanbieter Todyl<\/strong><\/a><\/span> meldete Auswirkungen desselben Angriffs.<\/p>\n

Die bislang bekannten Zahlen lassen somit kein katastrophales Ausma\u00df erkennen. Besondere Aufmerksamkeit verdient jedoch die Reichweite des Angriffs \u00fcber den urspr\u00fcnglich betroffenen Dienst hinaus: Der Vorfall zeigt, wie viele nachgelagerte Kunden betroffen sein k\u00f6nnen und wie eng diese Systeme miteinander verkn\u00fcpft sind.<\/p>\n

Was ist jetzt zu tun?<\/strong><\/h2>\n

Der erste Schritt besteht darin, eine Kompromittierung zu erkennen. Wie bei jeder Kompromittierung von Identit\u00e4ten sind ungew\u00f6hnliche, vom \u00fcblichen Nutzungsmuster abweichende Kontoaktivit\u00e4ten h\u00e4ufig die ersten Anzeichen. Dazu z\u00e4hlen etwa Versuche, auf Informationen zuzugreifen, f\u00fcr die kein gesch\u00e4ftlicher Bedarf besteht. \u00dcber kompromittierte Konten k\u00f6nnen Angreifer zudem versuchen, Berechtigungen auszuweiten oder Zugang zu weiterf\u00fchrenden Systemen zu erlangen.<\/p>\n

ConnectWise empfiehlt folgende Ma\u00dfnahmen:<\/p>\n